LGPD para PMEs: checklist prático e o que a ANPD fiscaliza
A LGPD (Lei 13.709/2018) está em vigor desde setembro de 2020, mas só em 2023 a ANPD começou a aplicar sanções de fato — e em 2025-2026 a fiscalização ganhou musculatura, com multas de R$ 50 milhões em alguns casos. Para PMEs, a boa notícia é que a lei prevê um regime especial mais brando (Resolução ANPD CD/ANPD 2/2022), mas isso não significa imunidade. Este guia explica o que é obrigatório para PMEs hoje, o que é recomendado, e o que a ANPD efetivamente está fiscalizando em 2026.
O regime especial para PMEs (ANPD CD/ANPD 2/2022)
A ANPD reconheceu que PMEs não têm a mesma capacidade de implementação que grandes corporações e publicou um regime simplificado:
- Microempresas, EPPs e startups (Lei 11.598/2007) podem ter um "encarregado" sem ser DPO formal
- Registro de operações de tratamento pode ser simplificado (não precisa documento jurídico extenso)
- Resposta a requisições de titulares pode ser em até 30 dias (em vez dos 15 dias para grandes)
- Comunicação de incidentes à ANPD pode ser feita em formulário simplificado
Bases legais — entenda antes de coletar
A LGPD prevê 10 bases legais para tratar dados pessoais (artigo 7º). Para PMEs, as mais comuns são: consentimento (marketing direto), execução de contrato (entrega de pedido), legítimo interesse (segurança e prevenção de fraude), obrigação legal (NF-e, eSocial, Receita Federal) e proteção da vida (em emergências de saúde). Cada finalidade exige uma base específica — você NÃO pode "reutilizar" dados coletados para uma finalidade em outra sem nova base.
Direitos do titular — o que sua empresa deve atender
O artigo 18 lista nove direitos do titular: confirmação, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento, revogação de consentimento, revisão de decisões automatizadas. Sua empresa deve oferecer um canal claro (formulário, e-mail dpo@) e responder em 15 dias (ou 30 para PMEs). Falhar em responder é a infração que a ANPD mais autua hoje — porque é fácil de detectar (basta o titular reclamar).
Dados sensíveis (artigo 11) — atenção especial
Dados sensíveis — origem racial, opinião política, religião, dados de saúde, dados biométricos, vida sexual — exigem consentimento específico e destacado, não vale checkbox genérico de "li e aceito". Clínicas, RH, planos de saúde e empresas de fitness lidam com isso o tempo todo. A ANPD trata violações de dados sensíveis com peso maior nas multas.
Cinco prioridades para uma PME em 2026
Se você é PME e quer estar em ordem, foque em cinco coisas: (1) ter uma política de privacidade clara no site e nos contratos, com finalidades e bases legais; (2) ter um canal de contato do encarregado (e-mail dpo@ ou formulário); (3) ter um registro simplificado de operações de tratamento (uma planilha já basta, conforme orientação ANPD); (4) ter consentimento eletrônico ao coletar dados (checkbox por canal, com timestamp e IP); (5) ter um plano de incidente — quem comunica a ANPD se houver vazamento. Isso cobre 90% do que a ANPD vai pedir em uma fiscalização.
4notify.net inclui um consent ledger nativo: cada opt-in (SMS, e-mail, WhatsApp) registra timestamp, IP, user agent e hash do texto exibido. Exportação CSV/PDF em um clique para auditoria ANPD. Resposta a requisições de titulares (acesso, eliminação, portabilidade) com fluxo guiado para a equipe.
Perguntas frequentes
Minha empresa é MEI — preciso me preocupar com LGPD?
Sim. A LGPD não isenta MEI. O regime especial CD/ANPD 2/2022 simplifica a documentação, mas o MEI continua tendo que respeitar consentimento, direitos do titular e segurança da informação. Consulte um advogado especializado.
Preciso de DPO obrigatoriamente?
Não necessariamente. PMEs podem indicar um "encarregado" (que pode ser o próprio sócio ou um colaborador) em vez de DPO formal. O cargo deve constar no site.
Quanto a ANPD pode multar uma PME?
A multa máxima por infração é 2% do faturamento do último exercício no Brasil, limitada a R$ 50 milhões. Em PMEs, multas típicas ficam entre R$ 5.000 e R$ 250.000 dependendo do dano e da reincidência.
Vazamento de dados — em quanto tempo comunicar a ANPD?
A LGPD diz "prazo razoável". A ANPD recomenda 2 dias úteis para casos sérios. PMEs podem usar formulário simplificado no e-Cidadania.
Cookie banner é obrigatório?
Não há texto explícito sobre cookies na LGPD. Por analogia ao consentimento, a maioria das empresas implementa um banner. A ANPD publicou guia em 2022 com orientação para cookies analíticos versus de marketing.